<div dir="auto"><div><div data-smartmail="gmail_signature">On Fri, Nov 25, 2022, 3:13 PM Phillip Hallam-Baker <<a href="mailto:phill@hallambaker.com" rel="noreferrer noreferrer" target="_blank">phill@hallambaker.com</a>> wrote:<br></div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div dir="ltr"><div class="gmail_default" style="font-size:small"><br></div></div><div class="gmail_quote"><div class="gmail_default" style="font-size:small">First off, file system protections today are based on 1970s technology and limited to static access control. If you want good security, you want dynamic access control and accountability (which is what the Mesh provides). So no, Chealsea Manning cannot download 90,000 diplomatic cables because the management system cuts her off at 2,000 (or so) and she is deterred from attempting to exceed her authority by the knowledge that every access is logged.</div><div class="gmail_default" style="font-size:small"></div></div></div></blockquote></div></div><div dir="auto"><br></div><div dir="auto">The auditing aspect can easily be done today, e.g, on Linux using Auditd and logging to a remote SIEM. Of course, you have to have someone actively monitoring those logs proactively otherwise detection comes too late. But if you want something like the rate limiting, you're right, you are not going to get that from the OS, at least not any mainstream ones that I'm aware of. To me, it may make more sense as a specialized user space process. And OS might support that with some additional basic primitives, but I think the combinations needed for all the specific scenario would make the OS too complex, which would lead to even more security issues.</div><div dir="auto"><br></div><div dir="auto">Besides, given that most companies who use RHEL often run with SELinux disabled, which to me says they aren't really interested in advanced dynamic security controls in the OS. (Yes, SELinux certainly is rather complicated to use, but AppArmor provides many similar benefits and is much easier to use, but it is rarely used as well.)</div><div dir="auto"><br></div><div dir="auto">-kevin</div><div dir="auto"><span style="color:rgb(136,136,136);font-size:12.8px">--</span><br style="color:rgb(136,136,136);font-size:12.8px"><div dir="ltr" data-smartmail="gmail_signature" style="color:rgb(136,136,136);font-size:12.8px"><div dir="ltr"><div>Blog: <a href="https://off-the-wall-security.blogspot.com/" style="text-decoration-line:none;color:rgb(66,133,244)" target="_blank" rel="noreferrer">https://off-the-wall-security.blogspot.com/</a>    | Twitter: @KevinWWall | OWASP ESAPI Project co-lead<br>NSA: All your crypto bit are belong to us.</div></div></div></div></div>